无外网企业服务器部署Jenkins时，如何通过Slack触发构建？

我之前帮好几个企业客户处理过一模一样的场景——内网Jenkins完全断网，Slack的请求根本打不进来触发构建。核心问题其实很直白：Slack的斜杠命令本质是让Slack的公网服务器向你的Jenkins发送HTTP请求，但你的Jenkins在无外网访问的内网环境里，Slack的服务器根本连不上它，自然会返回错误。

下面是几个经过验证的可行方案，按安全和易实现程度排序：

方案1：用公网中转代理做请求转发（最常用） #

如果你们企业有DMZ区或者一台能同时访问内网Jenkins和外网Slack的公网IP服务器，可以部署一个反向代理来中转请求：

• 用Nginx做代理是最省心的，给你一个简单的配置示例：

  server {
      listen 443 ssl;
      server_name your-proxy-domain.com;
      # 务必配置SSL证书，保证传输加密
      ssl_certificate /path/to/your-cert.pem;
      ssl_certificate_key /path/to/your-key.pem;
  
      location /jenkins-slack-trigger {
          # 转发到内网Jenkins的实际地址
          proxy_pass http://your-internal-jenkins-ip:8080;
          # 传递Slack请求的原始头信息，避免Jenkins识别异常
          proxy_set_header Host $host;
          proxy_set_header X-Real-IP $remote_addr;
          proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
          proxy_set_header X-Forwarded-Proto $scheme;
  
          # 安全加固：只允许Slack官方IP段访问，防止恶意请求
          allow 3.18.19.0/24;
          allow 3.130.192.0/18;
          # 其他Slack IP段可以去官方文档补充，这里列几个常用的
          deny all;
      }
  }
  

• 配置完Nginx后，把Slack斜杠命令的「请求URL」设置为https://your-proxy-domain.com/jenkins-slack-trigger，同时确保Jenkins的Slack插件已经配置好接收斜杠命令的路由。
• 额外提醒：一定要开启SSL，并且严格限制访问IP，别让代理变成攻击入口。

方案2：让Jenkins主动连接Slack（无需公网IP） #

如果你们企业内网能访问外网的Slack API（大部分企业会开这个出口），可以换个思路——不让Slack打进来，让Jenkins主动去Slack拉取命令：

1. 在Slack工作区创建一个Bot用户，生成并保存好Bot Token（权限要开启channels:history、chat:write、commands这些核心权限）。
2. 在Jenkins上安装Slack Notification Plugin，配置好Bot Token后先测试连通性（确保Jenkins能ping通Slack的API地址）。
3. 配置Slack的斜杠命令，把「响应类型」设为ephemeral（只给发命令的人看），然后在Jenkins里写个简单的Pipeline或者脚本，让Bot监听Slack里的斜杠命令消息：
   比如当用户发/build my-project时，Bot捕获到这条消息，调用Jenkins的内网API触发对应项目的构建，之后再回复用户构建的实时状态。

• 这种方式的好处是完全不需要Jenkins暴露到公网，安全性更高，唯一的前提是内网能访问Slack的API服务。

方案3：防火墙端口转发（谨慎使用） #

如果企业安全政策允许，可以把Jenkins的端口通过防火墙NAT转发到公网IP，但这种方式风险很高，一定要做好层层防护：

• 只开放给Slack的官方IP段，禁止其他所有IP访问。
• 强制Jenkins使用HTTPS，并且开启严格的认证（比如API令牌或者OAuth），绝对不能用明文HTTP或者弱密码。
• 不推荐中小团队用这个方案，除非有专门的安全团队负责维护。

通用注意事项 #

• 不管用哪种方案，都要测试请求的完整性：比如用curl模拟Slack的请求格式，发给中转代理或者直接给Jenkins，看能不能正确触发构建。
• 给Jenkins的构建触发API加令牌验证，避免任何人都能随便触发构建。

内容的提问来源于stack exchange，提问作者Sabari Ram